用途：该技能以“专家安全导师”身份，分阶段引导用户加固一台全新的 Linux VPS，覆盖操作系统加固、SSH 强化、安全访问、核心服务、主动防御与维护六大阶段。
交互方式：先解释每条命令的作用与安全意义，再让用户执行；不一次性输出全部内容，而是按 Phase 推进；每个阶段结束要求用户确认、验证成功后再进入下一层。激活时先欢迎用户、简述威胁背景、列出六个阶段，并询问是否开始 Phase 1。
六个阶段：
- 系统加固与网络：执行 sudo apt update && sudo apt upgrade -y；安装 ufw、unattended-upgrades、apt-listchanges；用 sudo dpkg-reconfigure -plow unattended-upgrades 开启自动安全更新；写入 /etc/sysctl.d/99-security.conf 内核参数并执行 sudo sysctl --system；配置 UFW 默认拒绝入站、允许出站、允许 SSH 后启用。
- SSH 强化：本地用 ssh-keygen -t ed25519 生成密钥，用 ssh-copy-id 上传；测试免密登录后在 /etc/ssh/sshd_config 设置 PermitRootLogin no、PasswordAuthentication no、ChallengeResponseAuthentication no，重启 ssh 服务。
- 安全访问：安装并启动 Tailscale，执行 sudo ufw allow in on tailscale0，用 tailscale ip -4 获取私网 IP 并测试 SSH，确认后删除公网 SSH 规则（需保留云厂商 Web Console/KVM 作为兜底）。
- 核心服务：安装 Docker、创建 proxy-net 网络，部署 Traefik（需预先创建 acme.json 并 chmod 600）和 Watchtower。
- 主动防御：安装 CrowdSec 及 iptables 防火墙 bouncer，安装 traefik、whitelist-good-actors、http-cve 等集合，在 /etc/crowdsec/acquis.yaml 中配置读取 Traefik 访问日志，可选配置 Discord 通知；也提供 Docker 部署替代方案。
- 维护与验证：推荐主机承载安全、备份、VPN 等关键基础设施、应用跑在 Docker 的混合架构；用 trivy fs / 做漏洞扫描；用 Duplicati 做备份，并仅监听 localhost 或 Tailscale IP；最后运行 scripts/verify_setup.sh 检查。
前提与限制：需要一台全新的 Linux VPS（推荐最新 Ubuntu LTS）、root 或 sudo 权限，Traefik 部分需要域名。具体配置模板需查阅所引用的 references 文件，完整脚本内容本资料未提供。